>[0117] 例如，假设子系统A、C的中断优先级为：A<C，A包括状态节点A1、A2,C包括状 态节点C1。
[0118] 进行排列后的第二多元状态节点可以包括41、六2、(：1、41(：1、42(：1、几种。
[0119] 各个子系统中的状态节点按照所属子系统的中断优先级排列，使得第二多元状态 节点中的状态节点具有组合顺序，按照中断优先级排列，保证了第二多元状态节点表示的 状态的可实现性。例如中断优先级A<C，则AC排列组合表示在A情况下发生C。而CA排 列表示在C情况下发生A，考虑中断优先级，该CA表示的状态不可实现。
[0120] 其中，第二多元状态节点包括空节点，空节点用于表示系统无状态。
[0121] 204:将所述第一多元状态节点分别与所述第二多元状态节点进行遍历组合，得到 组合状态节点。
[0122] 假设第一多元状态节点包括5个，第二多元状态节点包括9个，则将任一第一多元 状态节点分别与第二多元状态节点进行遍历组合，可以得到45种组合结果。
[0123] 该组合状态节点表示了嵌入式系统的所有可能状态。其中，将所述第一多元状态 节点以及所述第二多元状态节点进行遍历组合，得到的组合结果中可能包括相同的状态节 点组合以及组合状态无法实现的状态节点组合。
[0124] 因此，将所述第一多元状态节点以及所述第二多元状态节点进行遍历组合，还可 以对遍历组合的结果进行筛选，以筛选出所述嵌入式系统能够实现的组合状态节点。
[0125] 具体的，可以按照优化算法对组合结果进行筛选。
[0126] 即对于由述第一多元状态节点以及所述第二多元状态节点组合得到的任一状态 节点组合，如果第一多元状态节点属于第一子系统，第二多元状态节点中的任一状态节点 属于第二子系统，且第一子系统的中断优先级小于第二子系统的中断优先级，则抛弃该组 合结果。
[0127] 在本实施例中，根据子系统之间的同步关系以及互斥关系，可以自动建立嵌入式 系统的组合状态节点，从而可以自动建立全局时间自动机，提高了全局自动机的建立效率。 实现了对嵌入式系统的有效建模，将具有层次的系统进行了转换，从而使得可以按照现有 的方式建立时间自动机，进而借助现有的模型检测工具即可以实现对嵌入式系统的验证。
[0128] 其中，根据任意两个组合状态节点中的状态节点的状态转移条件以及所属子系统 之间由互斥关系以及同步关系确定的执行顺序，获得任意两个组合状态节点之间的组合状 态转移条件，可以有多种可能的实现方式，基于图2所示的实施例中组合状态节点的确定 方式，组合状态转移条件可以按照图3所示实施例实现，图3为本申实施例提供的一种模型 建立方法又一个实施例的操作，其中，步骤101~步骤103、以及步骤105的操作可以参见图 2所示的实施例，与图2所示实施例不同之处在于，步骤104可以包括：
[0129] 301 :当任意两个第一多元状态节点之间为同步关系时，确定所述任意两个第一多 元状态节点之间的状态转移条件为所述任意两个第一多元状态节点中的状态节点的状态 转移条件的交集。
[0130] 也即其中一个第一多元状态节点中的状态节点与另一个第一多元状态节点的状 态节点之间的状态转移条件的交集。
[0131] 302 :当任意两个第一多元状态节点之间为互斥关系时，确定任意两个第一多元状 态节点之间的状态转移条件为所述任意两个第一多元状态节点中的状态节点的状态庄毅 条件。
[0132] 也即其中一个第一多元状态节点中的状态节点与另一个第一多元状态节点之间 的状态转移条件。
[0133] 第一多元状态节点之间的同步关系或互斥关系由其包括的状态节点之间的同步 关系或互斥关系确定。
[0134]由于第一多元状态节点包括具有互斥关系的子系统的状态节点以及第一状态节 点组合。
[0135] 第一多元状态节点为具有互斥关系的子系统的状态节点时，则第一多元状态节点 之间为互斥关系。
[0136] 第一多元状态节点为第一状态节点组合时，任意两个第一多元状态节点组合，若 其中一个第一多元状态节点组合的一个状态节点所属子系统与另一个第一多元状态节点 的一个状态节点所属子系统为同步关系，则可确定该任意两个第一多元状态节点为同步关 系。
[0137] 303:根据任意两个组合状态节点中第一多元状态节点所属子系统的互斥关系，确 定组合状态节点的执行顺序。
[0138] 304:将所述第一多元状态节点的状态转移条件，以及所述组合状态节点之间的执 行顺序作为组合状态节点的组合状态转移条件。
[0139] 其中，步骤303的操作具体可以按照如下方式执行：
[0140] 如果任意两个组合状态节点中，第一多元状态节点所属子系统为互斥关系，且任 意两个组合状态节点中的第一组合状态节点的第一多元状态节点与第二组合状态节点的 第二多元状态节点相同，则第一组合状态节点与第二组合状态节点的执行顺序为第一多元 状态节点所属子系统的执行顺序。
[0141] 互斥关系类型不同，执行顺序类型也不同。
[0142] 图4为本申请实施例提供的一种模型建立方法又一个实施例的流程图，所述方法 可以包括以下几个步骤：
[0143] 401:按照嵌入式系统划分的多个子系统的中断优先级，确定所述多个子系统之间 的同步关系或互斥关系，所述同步关系是指子系统之间互相独立且同时执行任务处理，所 述互斥关系是指子系统之间先后执行任务处理。
[0144] 402:确定每一子系统的状态节点以及所述状态节点之间的状态转移条件，建立每 一子系统的时间自动机。
[0145] 时间自动机即继承了子系统的同步关系或互斥关系。
[0146] 403:根据所述时间自动机之间的互斥关系，确定所述时间自动机之间的传递路 径，并建立包括具有互斥关系的时间自动机以及所述传递路径的嵌套模型，所述传递路径 表示所述时间自动机之间的执行顺序。
[0147] 404:将所述嵌套模型中的时间自动机和与其具有同步关系的时间自动机进行遍 历组合，建立有序嵌套模型。
[0148] 405:根据所述有序嵌套模型中时间自动机的状态节点，得到的组合状态节点。
[0149] 406:根据任意两个组合状态节点中的状态节点的状态转移条件以及所属子系统 的执行顺序，获得任意两个组合状态节点之间的组合状态转移条件。
[0150] 407:利用所述组合状态节点以及所述组合状态转移条件，建立全局时间自动机， 所述全局时间自动机用于作为模型检测的状态迁移模型。
[0151] 在本实施例中，首先建立每一子系统的时间自动机，并根据时间自动机之间的互 斥关系以及同步关系，建立有序嵌套模型，即时间自动机网络，其中包括了时间自动机之间 的传递路径，也即执行顺序。从而根据有序嵌套时间机中的状态节点，可以得到组合状态 节点，通过有序嵌套模型的建立，可以快速确定出组合状态节点，有助于提高模型检测的效 率。
[0152] 其中，时间自动机中的传递路径根据互斥关系的类型不同而不同。
[0153] 第一互斥关系为，第一子系统的中断优先级高于第二子系统的中断优先级时，则 第一子系统与第二子系统存在第二子系统到第一子系统的第一类传递路径，命名为push 传递路径。
[0154] 第二互斥关系为，第一子系统执行结束后，需要返回第二子系统时，则第一子系统 与第二子系统存在第一子系统到第二子系统的第二类传递路径，命名为pop传递路径。
[0155] 第三互斥关系是指，第一子系统和第二子系统中断优先级相同，需要通过竞争获 取共享资源，或者第一子系统执行结束时，需要第二子系统对第一子系统的执行结果进行 响应。则第一子系统与第二子系统之间存在第三类传递路径，命名为internal传递路径。
[0156] 不同类型的传递路径，决定了第一子系统和第二子系统的执行顺序。
[0157] 其中，步骤405中根据所述有序嵌套模型中时间自动机的状态节点，得到的组合 状态节点可以按照如下方式进行：
[0158] 将所述有序嵌套模型中，具有互斥关系的时间自动机的状态节点，以及具有同步 关系的时间自动机中的状态节点的组合得到的第一状态节点组合，作为第一多元状态节 点。
[0159] 将各时间自动机中的状态节点按照所属时间自动机的中断优先级进行排列，得到 包括空节点的第二多元状态节点。
[0160] 将所述第一多元状态节点分别与所述第二多元状态节点进行遍历组合，得到组合 状态节点。
[0161] 其中，第二多元状态节点的确定可以采用栈序列的方式得到，按照中断优先级进 行排列得到的状态节点或状态节点组合，即为第二多元状态节点。
[0162] 其中，任意两个组合状态节点之间的组合状态转移条件包括第一多元状态节点之 间的状态转移条件，以及任意两个组合状态节点的执行顺序。
[0163] 任意两个组合状态节点的执行顺序可以按照如下方式确定：
[0164] 如果任意两个组合状态节点中的第一多元状态节点所属时间自动机为互斥关系， 且任意两个组合状态节点中的其中一个组合状态节点的第一多元状态节点与另一个组合 状态节点的第二多元状态节点的相同，则所述任意两个组合状态节点的执行顺序为所述第 一多元状态节点所属子系统的执行顺序。
[0165] 根据互斥关系类型的不同，执行顺序也不同
[0166] 假设S1和S2存在第一互斥关系，S1和S2的传递路径为2- 4S1
[0167] 则对于状态节点ql、q2属于S2,状态节点pl、p2属于S1时，则组合状态节点存在： (ql，fpl.ql)以及（)-^.iKpl.ql)，从而可以确定出组合状态 节点的执行顺序，例如对于（ql，f)-(pl，ql)表示的组合状态节点的（pl，ql)优 先执行f表示任一状态节点。
[0168] 若S2--四-^ :S. 1. .?则组合状态节点存在：'(守1.，f (p1q1)以及 (qf) (pL，q1)，从而可以确定出组合状态节点的执行顺序。
[0169]internal传递路径与pop传递路径以及push传递路径相似。
[0170] 在实际应用中，假设为嵌入式系统划分的子系统建立的时间机包括时间自动机X、 Y、Z以及W。X包括状态节点xl、x2;Y包括状态节点yl、y2, ；Z包括状态节点zl;W包括状 态节点包括wl、w2。其中，各状态节点之间的状态转移条件图中未标识，只用箭头标识了状 态转移方向。
[0171]Z分别与X和Y具有互斥关系，W分别与X、Y、Z具有同步关系。
[0172]X、Y和Z建立的嵌套模型如图4a所示，W的时间自动机模型如图4b所示，X、Y、Z 以及W建立的有序嵌套模型如图4c所示。
[0173] 嵌套模型中的时间自动机与具有同步关系的时间自动机进行组合，也即将嵌套模 型中的时间自动机与具有同步关系的时间自动机的状态节点进行组合。
[0174] 由图4c可以得到第一多元状态节点可以包括xl、x2、yl、y2、zl、xlwl、x2wl、zlwl、 ylwl、y2w2〇
[0175] 第二多元状态节点是将各时间自动机中的状态节点按照所属时间自动机的断优 先级进行排列得到的，例如对于X1、x2、y1、y2、z1、假设，优先级X<Y<Z，则第二多元状态 节点包括：空节点、xl、x2、yl、y2、zl、xlyl、x2yl、x2yl、x2y2、xlzl、x2z2、xlylzl、xly2zl、 x2ylzl以及x2y2zl几种。
[0176] 将每一第一多元状态节点与分别与各个第二多元状态进行遍历组合即可得到组 合状态节点。
[0177] 对于组合状态节点之间的组合状态转移条件，可以按照上述所